In neunzehn Bundesstaaten gilt ein umfassendes Datenschutzgesetz, Florida hat ein engeres, und vier weitere sind unterzeichnet. Zwölf erwarten, dass Websites Global Privacy Control beachten. Hier finden Sie jedes einzelne und was Velo dafür tut.
Allgemeine Informationen, Stand September 2026. Keine Rechtsberatung.
Sechs Fragen, geprüft an den Schwellenwerten jedes Gesetzes. Der Rechner wendet Ihren höchsten Wert für einen Bundesstaat auf jeden Bundesstaat an und zeigt so jedes Gesetz, das Sie bei dieser Größe erfassen kann. Eine erste Einschätzung, keine Rechtsberatung.
20 Gesetze von Bundesstaaten sind in Kraft (19 umfassende plus Floridas engeres Gesetz), 4 weitere sind unterzeichnet. Stand: 5. Oktober 2026. Allgemeine Informationen, keine Rechtsberatung. Was das für Ihr Banner bedeutet.
| Bundesstaat | Gesetz | In Kraft ab | Global Privacy Control | Sensible Daten | Nachbesserungsfrist | Gilt für | Quelle |
|---|---|---|---|---|---|---|---|
| CAKalifornien | CCPA, in der durch den CPRA geänderten Fassung | 1. Januar 2020 | PflichtSeit den Regeln von 2020; die Anzeige des Ergebnisses ist ab 1. Jan. 2026 Pflicht | Recht, die Nutzung einzuschränken | Keine | 26,6 Mio. $ Umsatz oder 100.000 Verbraucher bzw. Haushalte oder die Hälfte des Umsatzes aus Verkauf oder Weitergabe von Daten | Zum Gesetzestext |
| VAVirginia | Consumer Data Protection Act | 1. Januar 2023 | Nicht verpflichtend | Opt-in | 30 Tage, dauerhaft | 100.000 Verbraucher oder 25.000 und über die Hälfte des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| COColorado | Colorado Privacy Act | 1. Juli 2023 | Pflichtseit 1. Juli 2024 | Opt-in | Endete am 1. Jan. 2025 | 100.000 Verbraucher oder 25.000 und beliebiger Umsatz oder Rabatt aus Datenverkäufen | Zum Gesetzestext |
| CTConnecticut | Connecticut Data Privacy Act | 1. Juli 2023 | Pflichtseit 1. Jan. 2025 | Opt-in | Endete am 31. Dez. 2024, jetzt nach Ermessen | 35.000 Verbraucher oder beliebige sensible Daten oder jeder Datenverkauf (seit 1. Juli 2026) | Zum Gesetzestext |
| UTUtah | Consumer Privacy Act | 31. Dezember 2023 | Nicht verpflichtend | Hinweis und eine Möglichkeit zum Opt-out | 30 Tage, dauerhaft | 25 Mio. $ Umsatz und 100.000 Verbraucher oder 25.000 und über die Hälfte des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| FLFlorida | Digital Bill of Rights | 1. Juli 2024 | Nicht verpflichtend | Opt-in; Einwilligung zum Verkauf | 45 Tage, nach Ermessen des Generalstaatsanwalts | Unternehmen mit über 1 Mrd. $ weltweitem Umsatz, die ein weiteres Kriterium erfüllen | Zum Gesetzestext |
| OROregon | Oregon Consumer Privacy Act | 1. Juli 2024 | Pflichtseit 1. Jan. 2026 | Opt-in; einige Verkäufe verboten | Endete am 1. Jan. 2026 | 100.000 Verbraucher oder 25.000 und über 25 % des Umsatzes aus Datenverkäufen; gemeinnützige Organisationen eingeschlossen | Zum Gesetzestext |
| TXTexas | Data Privacy and Security Act | 1. Juli 2024 | Pflichtseit 1. Jan. 2025Formuliert als Bevollmächtigter über eine Browsereinstellung | Opt-in | 30 Tage, dauerhaft | Kein zahlenmäßiger Schwellenwert; kleine Unternehmen nach SBA-Definition ausgenommen | Zum Gesetzestext |
| MTMontana | Consumer Data Privacy Act | 1. Oktober 2024 | Pflichtseit 1. Jan. 2025 | Opt-in | Abgeschafft am 1. Okt. 2025 | 25.000 Verbraucher oder 15.000 und über 25 % des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| DEDelaware | Personal Data Privacy Act | 1. Januar 2025 | Pflichtseit 1. Jan. 2026 | Opt-in | Endete am 31. Dez. 2025, jetzt nach Ermessen | 35.000 Verbraucher oder 10.000 und über 20 % des Umsatzes aus Datenverkäufen (ab 2027 niedriger) | Zum Gesetzestext |
| IAIowa | Consumer Data Protection Act | 1. Januar 2025 | Nicht verpflichtend | Hinweis und eine Möglichkeit zum Opt-out | 90 Tage, dauerhaft | 100.000 Verbraucher oder 25.000 und über die Hälfte des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| NENebraska | Data Privacy Act | 1. Januar 2025 | Pflichtseit 1. Jan. 2025Formuliert als Bevollmächtigter über eine Browsereinstellung | Opt-in | 30 Tage, dauerhaft | Kein zahlenmäßiger Schwellenwert; kleine Unternehmen nach SBA-Definition ausgenommen | Zum Gesetzestext |
| NHNew Hampshire | Data Privacy Act (RSA 507-H) | 1. Januar 2025 | Pflichtseit 1. Jan. 2025 | Opt-in | Endete am 31. Dez. 2025, jetzt nach Ermessen | 35.000 Verbraucher oder 10.000 und über 25 % des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| NJNew Jersey | Data Privacy Act | 15. Januar 2025 | Pflichtseit 15. Juli 2025 | Opt-in; Verkauf seit 30. Juni 2026 verboten | Endete im Juli 2026 | 100.000 Verbraucher oder 25.000 und beliebiger Umsatz oder Rabatt aus Datenverkäufen | Zum Gesetzestext |
| TNTennessee | Information Protection Act | 1. Juli 2025 | Nicht verpflichtend | Opt-in | 60 Tage, dauerhaft | 25 Mio. $ Umsatz und 175.000 Verbraucher oder 25.000 und über die Hälfte des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| MNMinnesota | Consumer Data Privacy Act | 31. Juli 2025 | Pflichtseit 31. Juli 2025 | Opt-in | Endete am 31. Jan. 2026 | 100.000 Verbraucher oder 25.000 und über 25 % des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| MDMaryland | Online Data Privacy Act | 1. Oktober 2025 | Pflichtseit 1. Okt. 2025Formuliert als Bevollmächtigter über eine Browsereinstellung | Nur wenn unbedingt erforderlich; Verkauf verboten | Nach Ermessen, bis 1. Apr. 2027 | 35.000 Verbraucher oder 10.000 und über 20 % des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| INIndiana | Consumer Data Protection Act | 1. Januar 2026 | Nicht verpflichtend | Opt-in | 30 Tage, dauerhaft | 100.000 Verbraucher oder 25.000 und über die Hälfte des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| KYKentucky | Consumer Data Protection Act | 1. Januar 2026 | Nicht verpflichtend | Opt-in | 30 Tage, dauerhaft | 100.000 Verbraucher oder 25.000 und über die Hälfte des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| RIRhode Island | Data Transparency and Privacy Protection Act | 1. Januar 2026 | Nicht verpflichtend | Opt-in | Keine | 35.000 Kunden oder 10.000 und über 20 % des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| LALouisiana | Louisiana Data Privacy Act (Act 502) | 1. Januar 2027Unterzeichnet, noch nicht in Kraft | Pflichtab 1. Jan. 2027Formuliert als Bevollmächtigter über eine Browsereinstellung | Opt-in | 30 Tage, bis 31. Juli 2027 | Über 25 Mio. $ Umsatz oder 75.000 Verbraucher, Haushalte oder Geräte oder die Hälfte des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| OKOklahoma | Consumer Data Privacy Act (SB 546) | 1. Januar 2027Unterzeichnet, noch nicht in Kraft | Nicht verpflichtend | Opt-in | 30 Tage, dauerhaft | 100.000 Verbraucher oder 25.000 und über die Hälfte des Umsatzes aus Datenverkäufen | Zum Gesetzestext |
| ALAlabama | Personal Data Protection Act (Act 2026-552) | 1. Mai 2027Unterzeichnet, noch nicht in Kraft | Nicht verpflichtend | Opt-in | 45 Tage, dauerhaft | Über 25.000 Verbraucher oder über 25 % des Umsatzes aus Datenverkäufen; kleine Unternehmen, die keine Daten verkaufen, ausgenommen | Zum Gesetzestext |
| VTVermont | Data Privacy and Online Surveillance Act (Act 145) | 1. Januar 2028Unterzeichnet, noch nicht in Kraft | Pflichtab 1. Jan. 2028 | Opt-in, und nur soweit angemessen erforderlich | Nach Ermessen, 2028 bis Mitte 2029 | 35.000 Verbraucher oder sensible Daten von 3.000 oder Daten von 3.000, die zum Verkauf angeboten werden | Zum Gesetzestext |
Velo beachtet Global Privacy Control bei jedem Besucher aus den USA, der das Signal sendet, zeigt im Banner an, dass das Signal angewendet wurde, und protokolliert jede Entscheidung mit einem Beleg. Velo liest das Land aus, nicht den Bundesstaat. Ein neues Gesetz eines Bundesstaats erfordert also keine neue Einrichtung. In jedem Tarif, ab 0 €.
Das Jahr, in dem das jeweilige Gesetz in Kraft tritt. Kalifornien wird ab dem CCPA gezählt; die Änderungen durch den CPRA traten 2023 in Kraft.
Antwortfristen in Kalendertagen, sofern das Gesetz nicht Werktage nennt. Ein Opt-out im Banner wirkt sofort; diese Fristen zählen bei Anfragen per E-Mail oder Formular.
Für Anfragen auf Einsicht, Berichtigung oder Löschung von Daten gilt in den meisten Bundesstaaten eine Frist von 45 Tagen, die sich einmal um 45 Tage verlängern lässt, wenn Sie die Person rechtzeitig informieren. Iowa erlaubt 90 Tage; Florida verlängert nur um 15.
Ein Opt-out vom Verkauf oder von der Weitergabe muss innerhalb von 15 Werktagen wirksam werden, und Anfragen auf Auskunft, Löschung oder Berichtigung brauchen innerhalb von 10 Werktagen eine Eingangsbestätigung. Seit dem 1. Januar 2026 muss die Website außerdem anzeigen, ob sie ein GPC-Signal beachtet hat.
Die meisten Bundesstaaten geben 60 Tage für die Entscheidung über einen Einspruch. Colorado und Minnesota geben 45 mit einer möglichen Verlängerung um 60 Tage; New Jersey und Oregon geben 45. Kalifornien und Utah sehen kein Einspruchsverfahren vor.
| Bundesstaat | Auskunft, Berichtigung, Löschung | Opt-out von Verkauf und Werbung | Verlängerung | Entscheidung über Einspruch |
|---|---|---|---|---|
| CAKalifornien | 45 Tage | 15 Werktage | +45 Tage | Kein Einspruchsverfahren |
| VAVirginia | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| COColorado | 45 Tage | So bald wie möglich, innerhalb von 45 Tagen | +45 Tage | 45 Tage (+60) |
| CTConnecticut | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| UTUtah | 45 Tage | 45 Tage | +45 Tage | Kein Einspruchsverfahren |
| FLFlorida | 45 Tage | 45 Tage | +15 Tage | 60 Tage |
| OROregon | 45 Tage | 45 Tage | +45 Tage | 45 Tage |
| TXTexas | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| MTMontana | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| DEDelaware | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| IAIowa | 90 Tage | 90 Tage | +45 Tage | 60 Tage |
| NENebraska | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| NHNew Hampshire | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| NJNew Jersey | 45 Tage | 45 Tage | +45 Tage | 45 Tage |
| TNTennessee | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| MNMinnesota | 45 Tage | So bald wie möglich, innerhalb von 45 Tagen | +45 Tage | 45 Tage (+60) |
| MDMaryland | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| INIndiana | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| KYKentucky | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| RIRhode Island | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| LALouisiana | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| OKOklahoma | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
| ALAlabama | 45 Tage | 45 Tage | +45 Tage | Kein Einspruchsverfahren |
| VTVermont | 45 Tage | 45 Tage | +45 Tage | 60 Tage |
Öffentliche Verfahren, bei denen es um Opt-out-Links, Global Privacy Control oder Tracking auf der Seite ging, die neuesten zuerst. Beträge wie bekanntgegeben.
Steuerdaten gelangten über Tracking-Tags auf der Website zu Werbepartnern. Der Vergleich verlangt einen Prüfprozess und eine Überwachung jedes Tags.
MitteilungBesucher mussten eine E-Mail-Adresse bestätigen, bevor ein Opt-out vom Verkauf oder von der Weitergabe bearbeitet wurde. Ford muss das Tracking auf seiner Website prüfen und Opt-out-Signale beachten, GPC eingeschlossen.
MitteilungKäufer mussten Werbe-Tracking akzeptieren, um ihre Tickets zu erhalten, das einzige Opt-out verwies auf Branchentools, und Opt-out-Signale wurden ignoriert.
MitteilungGPC und die Opt-out-Schalter galten nur für einen Browser oder ein Gerät, nicht für das gesamte angemeldete Konto, und eingebundene Adtech erhielt weiter Daten.
MitteilungCookie-Einstellungen wurden als Opt-out dargestellt, aber das Abschalten von Cookies stoppte den Verkauf oder die Weitergabe von Daten nicht.
ÜberblickKein funktionierender Weg zum Opt-out von Verkauf oder Weitergabe, und GPC-Signale wurden nicht verarbeitet.
MitteilungAufsichtsbehörden aus drei Bundesstaaten prüften Websites gemeinsam auf GPC und schrieben Unternehmen an, die es ignorierten.
MitteilungDas Cookie-Banner gab an, Tracking-Cookies abzuschalten, tat es aber nicht. Auch GPC wurde ignoriert.
MitteilungEine falsch konfigurierte Consent-Plattform ließ Opt-outs 40 Tage lang unbearbeitet. Die Behörde stellte klar, dass die Nutzung einer Plattform die Verantwortung nicht verlagert.
MitteilungDas Tool für Datenschutzeinstellungen bot „Allow All“ mit einem Klick an, aber keinen ebenso einfachen Weg zur Ablehnung.
MitteilungTracker auf der Website galten als Verkauf, und GPC-Signale wurden nicht als Opt-outs behandelt.
Mitteilung
Velo wendet in den gesamten USA Opt-out-Voreinstellungen an. Sie pflegen also kein eigenes Banner pro Bundesstaat, wenn neue Gesetze in Kraft treten.
Zwölf Bundesstaaten erwarten, dass Websites Signale wie Global Privacy Control beachten. Sendet ein Browser GPC, schaltet Velo die Werbesignale ab, und das Banner zeigt es an.
Jede Entscheidung erhält eine Beleg-ID mit der Region und dem damaligen GPC-Status, damit sich eine Anfrage später beantworten lässt.
Besucher können Werbung und Tracking im Banner ablehnen und ihre Einstellungen jederzeit über den schwebenden Button wieder öffnen.
Seit Virginias Gesetz 2023 in Kraft trat, hat ein Bundesstaat nach dem anderen ein eigenes Datenschutzgesetz verabschiedet. Schwellenwerte und Details unterscheiden sich, aber die meisten haben einen gemeinsamen Kern: Einwohner können zielgerichteter Werbung, dem Verkauf ihrer Daten und bestimmtem automatisiertem Profiling widersprechen, und ein Unternehmen muss ihnen dafür einen klaren Weg bieten.
Zwölf davon, darunter Kalifornien, Colorado, Connecticut, Texas, Oregon und New Jersey, verpflichten Websites, universelle Opt-out-Signale wie Global Privacy Control zu beachten. Sensible Daten, etwa Gesundheitsinformationen oder genaue Standortdaten, brauchen dagegen in der Regel eine Opt-in-Einwilligung, und Maryland und New Jersey verbieten inzwischen ihren Verkauf.
Vom ersten Script-Tag bis zur ersten gespeicherten Entscheidung.
Installieren Sie Velo mit der Vorlage für Google Tag Manager oder fügen Sie ein einziges Script-Tag ein. Anleitungen gibt es für WordPress, Shopify, Webflow und weitere Plattformen.
Velo analysiert Ihre Seiten, listet die gefundenen Cookies und Skripte auf und schlägt für jedes Element eine Kategorie vor. Sie bestätigen oder ändern sie.
Wählen Sie Farben, Texte und Sprachen. „Ablehnen“ steht auf der ersten Ebene direkt neben „Akzeptieren“.
Besucher in den USA erhalten Opt-out-Standardwerte, und Global Privacy Control schaltet Werbung ab. Jede Entscheidung landet mit ihrer Beleg-ID in Ihrem Consent-Log.
Velo übernimmt das Banner, die regionalen Standardwerte und die Nachweise. Diese Punkte bleiben bei Ihnen.
Was Teams zu den Datenschutzgesetzen der Bundesstaaten fragen.
Stand 5. Oktober 2026 sind es neunzehn: Kalifornien, Virginia, Colorado, Connecticut, Utah, Oregon, Texas, Montana, Delaware, Iowa, Nebraska, New Hampshire, New Jersey, Tennessee, Minnesota, Maryland, Indiana, Kentucky und Rhode Island. Florida hat außerdem ein engeres Gesetz für Unternehmen mit mehr als 1 Mrd. $ Umsatz. Oklahoma und Louisiana folgen am 1. Januar 2027, Alabama am 1. Mai 2027 und Vermont am 1. Januar 2028.
In der Regel nicht. Die meisten geben Einwohnern das Recht, zielgerichteter Werbung, dem Verkauf personenbezogener Daten und Profiling zu widersprechen. Sensible Daten sind die wichtigste Ausnahme: Dafür verlangen mehrere Bundesstaaten eine Opt-in-Einwilligung.
Zwölf: Kalifornien, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon und Texas. Texas, Nebraska und Maryland formulieren es als Bevollmächtigten, der über eine Browsereinstellung handelt. Velo beachtet GPC bei Besuchern aus den USA, die das Signal senden.
Seit dem 1. Januar 2026 muss ein Unternehmen anzeigen, ob es das Opt-out-Präferenzsignal eines Besuchers verarbeitet hat, zum Beispiel mit einem Hinweis, dass das Opt-out beachtet wurde. Sendet ein Browser GPC, zeigt das Banner von Velo an, dass das Signal angewendet wurde und Werbung ausgeschaltet ist.
Nein. Diese Seite bietet allgemeine Informationen. Schwellenwerte und Pflichten unterscheiden sich je nach Bundesstaat. Prüfen Sie also, welche Gesetze für Sie gelten.
Website-Datenschutz, an einem Ort.
Website prüfen →
